Главная Контакты В избранное
Чтение RSS » » » Защита папок скрипта от запуска сторонних скриптов
  • Опрос пользователей

    Оцените работу движка [?]


    Популярное

    Заведи свой сайт





    Новости партнеров

    Spotify по популярности в России начал опережать Apple Music
    Шведский аудиостриминговый сервис Spotify после официального запуска в России летом 2020 года начал опережать по аудитории Apple Music, приблизившись к наиболее популярным у россиян Boom и ...
    Microsoft открыла бесплатный сервис для быстрого создания веб-сайтов
    Американский IT-гигант Microsoft предложил пользователям Сети простой и абсолютно бесплатный инструмент для самостоятельного создания сайтов. Представители компании сообщают, что главная цель этого ...
    Facebook обсуждает возможность использования системы распознавания лиц в своих умных очках
    Компания Facebook рассматривает возможность добавления системы распознавания лиц в новые умные очки, которые планирует выпустить до конца года. Причиной для дискуссий стали этические вопросы, которые ...
    Корпорация Microsoft поможет новостным агентствам Европы зарабатывать на контенте
    Американская корпорация Microsoft заключила соглашение с новостными агентствами и издателями Европы, чтобы оказывать давление на своих соперников в сфере IT-технологий. Как сообщает издательство ...
    Соцсеть Clubhouse признала утечку разговоров пользователей на сторонний сайт
    Как стало известно EVO-RUS.COM, со ссылкой на собственный источник, создатели нового популярного интернет-сервиса Clubhouse были вынуждены признать масштабную утечку бесед пользователей. Напомним, ...
  • Защита папок скрипта от запуска сторонних скриптов

    АвторАвтор: Admin  Опубликовано: 1-09-2013, 21:45  Комментариев: (0)

    Дорогие друзья,

    в этой небольшой статье мы хотим рассказать вам о том как, как вам можно повысить безопасность вашего сайта. Как известно наибольшую угрозу для сайта представляют собой залитые злоумышленником на сервер PHP шеллы. Что это такое? Это PHP скрипты которые могут выполняться на вашем сервере, соответственно производить какие-либо изменения в файлах доступных для записи или могут, например читать содержимое конфигурационных данных и соответственно получать прямой доступ к базе данных. Каким образом могут попадать данные шеллы на ваш сервер? При обнаружении какой либо уязвимости в скрипте, или сторонних модулях, или вообще при наличии других уязвимых сторонних скриптов на сервере, или серверного ПО. Главная особенность заключается в том, что шеллы можно залить не в любые папки на сервере, а лишь в папки доступные для записи на сервере, и в DataLife Engine такими папками являются папки /uploads/ и /templates/, а также все вложенные в них папки. Данные папки должны иметь права на запись, т.к. вы в них заливаете посредством скрипта легальный контент, файлы, картинки, редактируете в админпанели шаблоны и прочее. И как правило в эти папки производится загрузка шеллов при обнаружении злоумышленником какой либо бреши на сервере в любом скрипте, даже не имеющем отношения к DataLife Engine. Можно ли защитить эти папки, в случае попадания в них зловредного PHP файла, ведь нельзя запретить доступ к этим папкам? Можно, и достаточно не сложно.

    Итак, вам необходимо разместить в папках /uploads/ и /templates/ файл .htaccess со следующим содержимым:

    php_flag engine  off


    Данная строчка отключает использование PHP интерпретатора при попытке обращения к PHP файлам находящимся в этих папках, а также находящимся во всех вложенных папках. Поэтому даже в случае заливки в эти папки файлов со зловредным PHP кодом, они становятся для злоумышленника совершенно бесполезными, т.к. попросту не будут запускаться и выполнятся сервером.

    К сожалению далеко не все хостинг провайдеры позволяют управлять через .htaccess данным параметром, но для таких сайтов решение также существует, поэтому если на вашем сервере не работает вышеуказанный способ, то разместите в этих же папках .htaccess с содержимым:

    <FilesMatch "\.([Pp][Hh][Pp]|[Cc][Gg][Ii]|[Pp][Ll]|[Ph][Hh][Tt][Mm][Ll])\.?.*">    Order allow,deny    Deny from all </FilesMatch>


    Данный код запрещает прямое обращение к PHP файлам, находящимся в этих папках.

    Вот собственно и все, эти несложные манипуляции позволят серьезно повысить безопасность вашего сайта, даже в случае если найдется серьезная уязвимость в сторонних модулях и скриптах.

    Уважаемый посетитель, Вы зашли на сайт как незарегистрированный пользователь. Мы рекомендуем Вам зарегистрироваться либо войти на сайт под своим именем.

    Информация

    Посетители, находящиеся в группе Гости, не могут оставлять комментарии к данной публикации.
  •  
Яндекс.Метрика